Dal prossimo 17 dicembre tutte le aziende del settore privato che hanno un organico medio compreso tra i 50 e il 249 lavoratori dovranno istituire un sistema di whistleblowing, una piattaforma di segnalazione di eventuali illeciti commessi in azienda, che tuteli la riservatezza dell’identità e i dati personali dei denuncianti (per quelle di dimensioni superiori, l’obbligo è già vigente dallo scorso 15 luglio).
Il decreto, nel recepire le indicazioni della Direttiva europea, ha previsto un sistema diversificato di presentazione delle segnalazioni.
Gli enti del settore pubblico e di quello privato, come indicati nel § 1 “ambito soggettivo”, sono tenuti ad attivare un canale interno per la trasmissione e la gestione delle segnalazioni.
Il legislatore ha disposto che debbano essere approntati all’interno degli enti cui si applica la normativa appositi “canali interni” per ricevere e trattare le segnalazioni.
Il ricorso a questi canali viene incoraggiato, in quanto più prossimi all’origine delle questioni oggetto della segnalazione.
Nell’ottica di consentire di scegliere il canale di segnalazione più adeguato in funzione delle circostanze specifiche del caso, e quindi di garantire una più ampia protezione, si è prevista, al ricorrere di determinate condizioni, anche la divulgazione pubblica.
L’intento del legislatore è quello di incoraggiare le persone segnalanti a rivolgersi, innanzitutto, ai canali interni all’ente a cui sono “collegati”. Ciò in quanto una più efficace prevenzione e accertamento delle violazioni passa attraverso l’acquisizione di informazioni pertinenti da parte dei soggetti più vicini all’origine delle violazioni stesse.
Istituzione dei canali di segnalazione
I soggetti del settore pubblico e del settore privato, sentite le rappresentanze o le organizzazioni sindacali , per acquisire eventuali osservazioni, definiscono in un apposito atto organizzativo le procedure per il ricevimento delle segnalazioni e per la loro gestione, al fine di attivare al proprio interno appositi canali di segnalazione.
Nella istituzione del canale è opportuno che almeno vengano definiti:
– il ruolo e i compiti dei soggetti che gestiscono le segnalazioni;
– le modalità e i termini di conservazione dei dati, appropriati e proporzionati in relazione alla procedura di whistleblowing e alle disposizioni di legge.
Laddove gli enti privati adottino i modelli di organizzazione e gestione ai sensi del d.lgs. n. 231/2001, i canali interni di segnalazione vanno previsti all’interno di tali modelli o nell’atto organizzativo cui il MOG 231 espressamente rinvia.
I canali di segnalazione interna devono garantire la riservatezza, anche tramite il ricorso a strumenti di crittografia, ove siano utilizzati strumenti informatici:
- o della persona segnalante;
- o del facilitatore;
- o della persona coinvolta o comunque dei soggetti menzionati nella segnalazione;
- o del contenuto della segnalazione e della relativa documentazione.
Inoltre, al fine di agevolare il segnalante, a quest’ultimo va garantita la scelta fra diverse modalità di segnalazione:
o in forma scritta, anche con modalità informatiche (piattaforma online).
La posta elettronica ordinaria e la PEC si ritiene siano strumenti non adeguati a garantire la riservatezza.
Qualora si utilizzino canali e tecniche tradizionali, da disciplinare nell’atto organizzativo, è opportuno indicare gli strumenti previsti per garantire la riservatezza richiesta dalla normativa.
La segnalazione è poi oggetto di protocollazione riservata
anche mediante autonomo registro, da parte del gestore. o in forma orale, alternativamente, attraverso linee telefoniche, con sistemi di messaggistica vocale, ovvero, su richiesta della persona segnalante, mediante un incontro diretto fissato entro un termine ragionevole.
I soggetti cui va affidata la gestione delle segnalazioni
La gestione dei canali di segnalazione è affidata, alternativamente:
- o a una persona interna all’amministrazione/ente;
- o a un ufficio dell’amministrazione/ente con personale dedicato, anche se non in via esclusiva;
- o a un soggetto esterno.
Chi gestisce le segnalazioni è necessario possieda il requisito dell’autonomia, che, ad avviso di ANAC, va declinato come imparzialità e indipendenza.
Pertanto le amministrazioni/enti del settore pubblico e privato nell’affidare tale incarico devono valutare se il soggetto abbia le caratteristiche indispensabili per svolgere l’attività richiesta.
In particolare, i soggetti che gestiscono le segnalazioni devono:
o laddove si tratti di soggetti interni, essere autorizzati al trattamento dei dati personali da parte delle amministrazioni/enti e quindi essere destinatari di una specifica formazione in materia di privacy
o nel caso di soggetti esterni, questi sono responsabili del trattamento in base ad un accordo appositamente stipulato con l’amministrazione/ente;
o ricevere un’adeguata formazione professionale sulla disciplina del whistleblowing, anche con riferimento a casi concreti.
Nel settore privato
la scelta del soggetto cui affidare il ruolo di gestore delle segnalazioni è rimessa all’autonomia organizzativa di ciascun ente, in considerazione delle esigenze connesse alle dimensioni, alla natura dell’attività esercitata e alla realtà organizzativa concreta. Ciò, fermo restando il rispetto dei requisiti previsti dal legislatore.
Laddove il gestore versi in un’ipotesi di conflitto di interessi rispetto ad una specifica segnalazione (in quanto ad esempio soggetto segnalato o segnalante), si ritiene che ricorra una delle condizioni per effettuare una segnalazione esterna ad ANAC, non potendo essere assicurato che alla segnalazione sia dato efficace seguito.
I canali interni devono essere progettati in modo da consentire un accesso selettivo alle segnalazioni solo da parte del personale autorizzato e rispettare la tutela della riservatezza e la disciplina sul trattamento dei dati personali
La segnalazione inviata ad un soggetto non competente
Qualora la segnalazione interna sia presentata ad un soggetto diverso da quello individuato e autorizzato dall’amministrazione o ente, laddove il segnalante dichiari espressamente di voler beneficiare delle tutele in materia whistleblowing o tale volontà sia desumibile dalla segnalazione, la segnalazione è considerata “segnalazione whistleblowing” e va trasmessa, entro sette giorni dal suo ricevimento, al soggetto interno competente, dando contestuale notizia della trasmissione alla persona segnalante.
Diversamente, se il segnalante non dichiari espressamente di voler beneficiare delle tutele, o detta volontà non sia desumile dalla segnalazione, detta segnalazione è considerata quale segnalazione ordinaria.
Il d.P.R. n. 62 del 2013 prevede che la segnalazione possa essere presentata al superiore gerarchico.
Quest’ultimo, ove il segnalante dichiari di volersi avvalere delle tutele come whistleblower o tale volontà sia desumibile dalla segnalazione, è tenuto alla trasmissione al soggetto competente, entro sette giorni, come sopra indicato.
Le attività cui è tenuto chi gestisce le segnalazioni
Chi gestisce le segnalazioni è tenuto al rispetto di indicazioni che il legislatore ha posto per assicurare sia una efficiente e tempestiva gestione della segnalazione che la tutela delle persone segnalanti.
Chi gestisce le segnalazioni:
o rilascia alla persona segnalante un avviso di ricevimento della segnalazione entro sette giorni dalla data di ricezione; o mantiene le interlocuzioni con la persona segnalante;
o dà un corretto seguito alle segnalazioni ricevute;
o fornisce un riscontro alla persona segnalante.
In particolare, un corretto seguito implica, in primo luogo, nel rispetto di tempistiche ragionevoli e della riservatezza dei dati, una valutazione sulla sussistenza dei requisiti essenziali della segnalazione per valutarne l’ammissibilità e poter quindi accordare al segnalante le tutele previste.
Ad esempio:
- o manifesta infondatezza per l’assenza di elementi di fatto idonei a giustificare accertamenti;
- o accertato contenuto generico della segnalazione di illecito tale da non consentire la comprensione dei fatti ovvero segnalazione di illeciti corredata da documentazione non appropriata o inconferente.
Una volta valutata l’ammissibilità della segnalazione, come di whistleblowing, il gestore delle segnalazioni avvia l’istruttoria interna sui fatti o sulle condotte segnalate per valutare la sussistenza degli stessi.
All’esito dell’istruttoria, il gestore fornisce un riscontro alla persona segnalante.
Per “riscontro” si intende la comunicazione alla persona segnalante delle informazioni relative al seguito che viene dato o che si intende dare alla segnalazione; ai sensi del medesimo articolo
per “seguito” si intende l’azione intrapresa dal soggetto cui è affidata la gestione della segnalazione per valutare la sussistenza dei fatti, l’esito delle indagini e le eventuali misure adottate.
Ciò premesso, occorre evidenziare che, per poter dare corretto “seguito” alla segnalazione, è opportuno anzitutto, come già detto, vagliarne l’ammissibilità.
Ad avviso dell’Autorità, spetta poi a chi gestisce la segnalazione compiere una prima imparziale delibazione sulla sussistenza di quanto rappresentato nella segnalazione. Per lo svolgimento dell’istruttoria, il soggetto cui è affidata la gestione può avviare un dialogo con il whistleblower, chiedendo allo stesso chiarimenti, documenti e informazioni ulteriori, sempre tramite il canale a ciò dedicato nelle piattaforme informatiche o anche di persona.
Ove necessario, può anche acquisire atti e documenti da altri uffici dell’amministrazione, avvalersi del loro supporto, coinvolgere terze persone tramite audizioni e altre richieste, avendo sempre cura che non sia compromessa la tutela della riservatezza del segnalante e del segnalato.
Qualora, a seguito dell’attività svolta, vengano ravvisati elementi di manifesta infondatezza della segnalazione, ne sarà disposta l’archiviazione con adeguata motivazione.
Laddove, invece, si ravvisi fumus di fondatezza della segnalazione è opportuno rivolgersi immediatamente agli organi preposti interni o enti/istituzioni esterne, ognuno secondo le proprie competenze.
Non spetta al soggetto preposto alla gestione della segnalazione accertare le responsabilità individuali qualunque natura esse abbiano, né svolgere controlli di legittimità o di merito su atti e provvedimenti adottati dall’ente/amministrazione oggetto di segnalazione, a pena di sconfinare nelle competenze dei soggetti a ciò preposti all’interno di ogni ente o amministrazione ovvero della magistratura.
Con riferimento al “riscontro” da effettuare entro il termine di tre mesi, si evidenzia che lo stesso può consistere nella comunicazione dell’archiviazione, nell’avvio di un’inchiesta interna ed eventualmente nelle relative risultanze, nei provvedimenti adottati per affrontare la questione sollevata, nel rinvio a un’autorità competente per ulteriori indagini.
Tuttavia, occorre precisare che il medesimo riscontro, da rendersi nel termine di tre mesi, può anche essere meramente interlocutorio, giacché possono essere comunicate le informazioni relative a tutte le attività sopra descritte che si intende intraprendere e lo stato di avanzamento dell’istruttoria. In tale ultimo caso, terminata l’istruttoria, gli esiti dovranno comunque essere comunicati alla persona segnalante.
Informazioni da inserire sul sito e sulla pagina della piattaforma per evitare errori da parte del segnalante
Può essere utile per le amministrazioni e gli enti chiarire al proprio interno che chi intende presentare una segnalazione debba specificare che si tratta di una segnalazione per la quale si intende mantenere riservata la propria identità e beneficiare delle tutele previste nel caso di eventuali ritorsioni.
Tale specificazione consente, laddove la segnalazione pervenga erroneamente ad un soggetto non competente, la trasmissione tempestiva da parte di quest’ultimo al soggetto autorizzato a ricevere e gestire le segnalazioni di whistleblowing.
In assenza della chiara indicazione, infatti, la segnalazione potrebbe essere trattata come ordinaria.
È necessario, quindi, che le amministrazioni e gli enti chiariscano bene, sul sito istituzionale e anche nella stessa pagina della piattaforma dedicata, quali sono le diverse conseguenze in caso di segnalazione ordinaria e di whistleblowing.
Sarebbe utile anche che, negli stessi modelli per la trasmissione delle segnalazioni ordinarie, sia chiesto ai segnalanti di precisare se intendono o meno mantenere riservata la propria identità e avvalersi delle tutele previste per il whistleblower.
Inoltre, i soggetti che gestiscono il canale di segnalazione interno mettono a disposizione informazioni sull’utilizzo del canale interno e di quello esterno gestito da ANAC con particolare riguardo ai presupposti per effettuare le segnalazioni attraverso tali canali, ai soggetti competenti cui è affidata la gestione delle segnalazioni interne nonché alle procedure.
Tali informazioni devono essere chiare e facilmente accessibili anche alle persone che, pur non frequentando i luoghi di lavoro, siano legittimate a presentare segnalazioni di whistleblowing.
Vanno esposte, per esempio, nei luoghi di lavoro in un punto visibile, accessibile a tutte le suddette persone, nonché in una sezione apposita del sito web istituzionale dell’ente.
Devono essere, altresì, oggetto di trattazione nei corsi e nelle formazioni su etica e integrità. In ogni caso, le amministrazioni e gli enti possono prevedere nei propri Codici di comportamento o codici di condotta uno specifico dovere di trasmissione immediata, nel caso si riceva erroneamente una segnalazione di whistleblowing.
La possibilità per alcuni enti di gestire in modo condiviso le segnalazioni
Al fine di ottimizzare e specializzare il lavoro sulle segnalazioni in esame, e anche in una logica di semplificazione degli adempimenti e di contenimento dei costi, il decreto consente ad enti di minori dimensioni di “condividere” il canale di segnalazione interna e la relativa gestione (ad esempio potrebbero essere stipulati accordi/convenzioni per la gestione in forma associata delle segnalazioni whistleblowing).
Ciò, naturalmente, senza pregiudicare l’obbligo di garantire la riservatezza, di fornire un riscontro e di gestire la violazione segnalata.
La condivisione del canale è prevista, in particolare, per:
- o i comuni diversi dai capoluoghi di provincia;
- o i soggetti del settore privato che hanno impiegato, nell’ultimo anno, una media di lavoratori subordinati, con contratto di lavoro a tempo determinato o indeterminato, non superiore a duecentoquarantanove.
Ove vi sia questo tipo di condivisione del canale interno, si rammenta che gli enti coinvolti sono considerati contitolari del trattamento dei dati personali.
Si precisa che, nell’ipotesi in cui gli enti affidino ad uno stesso soggetto (esterno) la gestione delle segnalazioni, è necessario garantire che ciascun ente acceda esclusivamente alle segnalazioni di propria spettanza tenuto anche conto della attribuzione della relativa responsabilità.
Pertanto, dovranno essere adottate misure tecniche e organizzative per garantire che ciascun ente abbia accesso solo alle segnalazioni di propria competenza.
La mancata istituzione dei canali interni e delle relative procedure o istituzione non conforme
Si ricorda, da ultimo, che ANAC può applicare una sanzione amministrativa pecuniaria ove accerti che non siano stati istituiti canali interni di segnalazione, che non siano state adottate procedure per l’effettuazione e la gestione delle segnalazioni ovvero che l’adozione di tali procedure non sia conforme a quanto previsto dal decreto.
La sanzione può essere irrogata da ANAC anche quando si accerti che non è stata svolta l’attività di verifica e analisi delle segnalazioni ricevute.
Canali per whistleblowing, vanno sentiti i sindacati
La normativa (Dlgs 24/2023) stabilisce che i datori di lavoro devono attivare un canale di segnalazione interna, previa consultazione delle rappresentanze sindacali o delle organizzazioni sindacali di cui all’articolo 51 del decreto legislativo n. 81 del 2015.
L’obbligo di “sentire” le rappresentanze si riferisce alla necessità di ascoltare le opinioni e le proposte delle parti interessate, ma non implica un coinvolgimento diretto nella discussione approfondita su una determinata materia.
L’impegno di coinvolgere i rappresentanti dei lavoratori si differenzia dalla necessità di agire “previa intesa” o “di concerto” con le organizzazioni sindacali. Nel caso del whistleblowing, non è richiesto raggiungere alcun accordo con le organizzazioni sindacali.
L’obbligo di consultare le associazioni dei lavoratori sembra avere solo uno scopo informativo, come confermato dalle linee guida dell’ANAC.
Questo obbligo si concretizza in due fasi:
la comunicazione preventiva al sindacato, in cui si informa dell’intenzione di attivare il canale di whistleblowing e si fornisce una descrizione dei suoi elementi essenziali;
l’eventuale incontro di approfondimento, che si tiene solo se richiesto dal sindacato.
Incontro che il datore di lavoro deve tenere in considerazione, nei suoi contenuti, al momento della concreta attivazione del sistema d segnalazione, ma senza vincoli specifici: resta libero, quindi, di accogliere o meno le indicazioni ricevute dal sindacato.
L’incontro è, peraltro, solo potenziale: se i rappresentanti dei lavoratori non reagiscono all’informativa del datore di lavoro e, quindi, non chiedono un incontro, la fase di ascolto deve intendersi regolarmente conclusa.
Per dare tempi certi a questa fase, il datore di lavoro, con la propria informativa, può fissare un termine per ricevere indicazioni o svolgere l’incontro.
Nel caso di aziende che non dispongono di rappresentanze sindacali, l’obbligo di ascolto riguarda un ampio range di soggetti, tra cui le rappresentanze in aziendale e le organizzazioni sindacali individuate dal Dlgs 81/2015.
In questo caso, per adempiere all’obbligo, è necessario inviare l’informativa alle associazioni che hanno firmato il contratto collettivo applicato in azienda e che sono munite di rappresentatività comparativa.
il mancato coinvolgimento dei rappresentanti dei lavoratori potrebbe configurare una condotta antisindacale.
Whistleblowing, applicabilità della disciplina ai gruppi di imprese: i chiarimenti di Confindustria
Al fine di evitare l’adozione di un diverso canale di segnalazione per ogni singola legal entity Confindustria propone due soluzioni:
ricezione al canale di gruppo ma gestione decentralizzata a livello di singola impresa controllata
contratto di servizio tra la Holding e controllata per la gestione del canale
Con particolare riferimento ai gruppi di imprese, la Direttiva aveva previsto, ai sensi dell’art. 8 comma 6, che “i soggetti giuridici del settore privato che hanno da 50 a 249 lavoratori possono condividere le risorse per il ricevimento delle segnalazioni e delle eventuali indagini da svolgere.”
Tale disposizione è stata adottata in conformità con la ratio della Direttiva Whistleblowing, che mira a fornire supporto agli enti di minori dimensioni, riducendo gli oneri organizzativi e contenendo i costi legati agli adempimenti di compliance.
La Commissione Europea ha emesso una precisazione nel 2021 riguardo alla condivisione del canale di segnalazione.
Tale possibilità è riservata esclusivamente alle società di piccole e medie dimensioni, mentre le società di grandi dimensioni, anche se facenti parte di un gruppo, devono dotarsi di un canale di segnalazione “locale”.
Questa misura è stata adottata per garantire al segnalante un facile accesso al canale di segnalazione.
In conformità alla Direttiva e al parere della Commissione Europea, il legislatore italiano ha regolamentato solo la condivisione del canale di segnalazione per le imprese di piccole e medie dimensioni, senza fornire indicazioni specifiche per le imprese di grandi dimensioni.
A tal proposito, è importante sottolineare che, secondo l’articolo 4, comma 4 del Decreto 24/2023, le aziende private che hanno un numero medio di dipendenti subordinati, con contratti a tempo indeterminato o determinato, non superiore a 249 nel corso dell’ultimo anno, hanno la possibilità di condividere il canale di segnalazione interna e la relativa gestione.
D’altra parte, l’articolo 4 comma 2 prevede che tutte le imprese, senza distinzione, abbiano la possibilità di delegare la gestione del canale di segnalazione a un soggetto esterno, che sia autonomo e dotato di personale appositamente formato.
Ricorrendo a questa formulazione, il Legislatore non ha stabilito alcun limite di dimensione per determinare quali imprese siano autorizzate a utilizzare un soggetto esterno per la gestione delle segnalazioni.
Di conseguenza, questa possibilità è stata estesa anche alle grandi imprese.
Questa previsione è stata ampiamente utilizzata in via interpretativa per concludere che il “soggetto terzo” incaricato di gestire il canale di segnalazione può effettivamente essere un’altra società appartenente allo stesso gruppo.
Con la Circolare n. 10 del 7 giugno 2023, Assonime ha diffuso una chiave di lettura per le imprese di grandi dimensioni.
Secondo questa chiave di lettura, un’alternativa possibile per la gestione delle segnalazioni potrebbe essere quella di affidare la gestione delle segnalazioni in outsourcing alla holding o ad un’altra società del gruppo, attraverso contratti di servizio. Questa pratica è comune nei gruppi a gestione accentrata. Tuttavia, la decisione di adottare questa soluzione spetta all’ente che esercita direzione e coordinamento, tenendo conto dei rischi di responsabilità.
Invero, contrariamente ad ogni aspettativa, le Linee Guida ANAC, pubblicate il 12 luglio 2023 e dunque successivamente rispetto alla Circolare in esame, hanno omesso qualsiasi tipo di indicazione sul punto.
I CHIARIMENTI DI CONFINDUSTRIA
Il 27 ottobre 2023, Confindustria ha finalmente trattato con la dovuta attenzione l’argomento, con la pubblicazione della propria Guida Operativa Whistleblowing .
Richiamando quanto già proposto da Assonime e anche sulla scia delle scelte legislative adottate a livello internazionale, Confindustria ha proposto due possibili soluzioni per semplificare la segnalazione delle imprese di grandi dimensioni che fanno parte di un gruppo.
- ricezione della segnalazione al canale di gruppo ma gestione decentralizzata a livello di singola impresa controllata
In primo luogo, Confindustria propone l’implementazione di un canale di segnalazione unificato per tutte le controllate di grandi dimensioni. Questo canale potrebbe essere una piattaforma informatica condivisa, che consentirebbe una gestione locale delle segnalazioni all’interno di ciascuna controllata.
Con questa soluzione, all’interno della piattaforma unica utilizzata, il segnalante avrà la possibilità di selezionare la società presso la quale svolge la propria attività lavorativa per effettuare la segnalazione. In questo modo, la gestione della segnalazione sarà affidata all’ufficio specifico responsabile di tale attività all’interno della controllata, garantendo il principio di prossimità della segnalazione.
- contratto di servizio tra la Holding e la controllata per la gestione del canale di segnalazione
La seconda soluzione prevede che le segnalazioni vengano inviate attraverso un canale di gruppo unico e poi gestite dalla capogruppo, che agisce come soggetto terzo rispetto alle controllate. Questo processo semplifica la gestione delle segnalazioni e garantisce una maggiore efficienza nella gestione dei problemi.
In base al modello operativo proposto da Confindustria e già ipotizzato da Assonime, ogni controllata deve stipulare un contratto di servizio con la capogruppo per gestire le segnalazioni ricevute in conformità alla normativa locale. Questo processo permette di garantire una gestione efficiente e conforme alle leggi vigenti delle segnalazioni ricevute dalle controllate.
Al fine di garantire comunque il rispetto del principio di prossimità nella gestione della segnalazione, Confindustria propone che, anche qualora tale gestione venga affidata in outsourcing alla capogruppo, quest’ultima:
- a) si avvalga del supporto degli uffici della controllata (nel rispetto degli obblighi di riservatezza);
oppure
- b) istituisca una struttura di gestione della segnalazione che veda anche la partecipazione di personale interno alla controllata a cui è riferibile la segnalazione.
